### ① 组件是什么 PSA 是 K8s 官方 Pod 安全基线，分 privileged、baseline、restricted 三档，在准入层强制禁止特权、宿主命名空间、危险 capability 等危险配置。 ### ② 语言与 C 库 准入策略由 API Server/准入控制器执行（Go goroutine），非独立程序。 ### ③ 运行机制 命名空间打标签指定档位，准入时按档校验 Pod 字段，违规拒绝或告警，restricted 最严。 ### ④ 常见配置缺陷 - 命名空间未设档位或停在 privileged/baseline，危险 Pod 可落地。 - 只告警不拒绝（audit/warn），不强制。 - 例外名单过宽。 ### ⑤ 对应攻击链路 PSA 是逃逸防御的闸门：在对象落地前拒绝特权与宿主挂载，从起点切断第二部分讲的逃逸条件。 ### ⑥ 对应 C 库 无独立底层库，准入判定在 API Server。 ### ⑦ 对应工具 命名空间档位审计、强制模式核查、违规工作负载盘点。 【链路推演】PSA 宽松/仅告警 → 危险 Pod 落